サイバーセキュリティの専門家はAIがソフトウェアの脆弱（ぜいじゃく）性を発見できるようになったことを過度に歓迎すべきではないという。なぜならば、脆弱性を見つけることは問題の一部に過ぎないためだ。

　この発言をしたのは国家安全保障局（NSA）に34年以上勤務し、NSAのサイバーセキュリティ局長や、同局でサイバー戦を実行する情報収集部隊「Tailored Access Operations」（TAO）の責任者などの要職を務めたロブ・ジョイス氏だ。1期目のトランプ政権において大統領直属の上級顧問を務めて、サイバー領域を担当していた。

　同氏はワシントンD.C.で開催されたGoogleの「Cyber Defense Summit 25」で次のように語った。

　「これから次のようなことを述べる人たちが出てくるだろう。『大規模言語モデル（LLM）』が全てのソフトウェアをスキャンして大量のバグを見つけ、攻撃者が悪用する前に修正できるようになるのは素晴らしいことだ」

　Googleのような大手テクノロジー企業であれば、AIが特定した脆弱性を迅速に分類してトリアージを実行し、パッチを適用できるかもしれない（注1）。一方、ジョイス氏は「現在の技術エコシステムには、すでにサポートが終了していたり、レガシー化していたり、そもそもパッチを適用できる担当者が存在していなかったりするシステムがあまりにも多い」と述べた。

　ジョイス氏によると、ソフトウェアの脆弱性においてAIはすでに人間を上回る発見能力を有しているという。2025年6月には「XBOW」と呼ばれるAIエージェントが、バグ報奨金プラットフォーム「HackerOne」のランキングで首位に立ち（注2）、史上初の人間以外の脆弱性報告者となった。XBOWはその後もランキング上位を維持し続けている。

　「AIはあらゆるネットワークに焦点を当てて、いわば世界中のドアノブを絶え間なく揺らしている。睡眠や食事、家族との時間を必要とする人間には不可能な数の脆弱性や欠陥を見つけ出してしまうのだ。AIが人間よりも迅速に脆弱性を発見できるようになった世界では、サポートが終了したソフトウェアや適切に保守されていないソフトウェアが、最大のリスクになっていくだろう。私たちは西海岸の山火事のような大事件を目の当たりにすることになるかもしれない。全てを焼き尽くしてしまわない限り、より強く、より良いものを築き上げることができないという状況に陥る恐れがある」（ジョイス氏）

AIエージェントで効率的に企業の弱点を把握

　サイバーセキュリティ事業を営むMandiantのジョン・ハルトクイスト氏（チーフアナリスト）との基調対談の中で、ジョイス氏はAIエージェントを自社の電子メールプラットフォームやナレッジベース、その他の業務システムに接続している企業に対して、深刻度の高い新たなリスクにさらされていると警告した（注3）。

　「最近、企業内部でAIが悪用される事例が出てきた。攻撃者が企業システムに侵入した後、AIエージェントを使ってランサムウェア攻撃や恐喝攻撃の対象として利用価値のある情報を自動的に探し出すのだ。企業データに対してLLMクエリを実行して、攻撃に転用できそうな情報を抽出する初のマルウェアが登場しているほどだ」（ジョイス氏）

　ジョイス氏は「企業の重要なシステムへの新たな侵入口をAIが見つけ出している現在、金銭目的で活動する北朝鮮の攻撃者グループは、今後AIシステムへの攻撃を得意とするようになるだろう。そこには金があるのだ。北朝鮮の攻撃者は自らの創造的な姿勢をすでに示している」（ジョイス氏）